Közösségi benyújtás – Szerző: WhoTookMyCrypto.com
2017 figyelemre méltó év volt a kriptovaluta ipar számára, mivel az értékelések gyors növekedése a mainstream médiába repítette őket. Nem meglepő módon ez hatalmas érdeklődést váltott ki mind a nagyközönség, mind a kiberbűnözők részéről. A kriptovaluták által kínált viszonylagos anonimitás a bűnözők számára rendkívül vonzó, akik gyakran használják őket a hagyományos bankrendszerek megkerülésére és a szabályozó hatóságok pénzügyi felügyeletének elkerülésére.
Mivel az emberek több időt töltenek okostelefonjukon, mint asztali számítógépeken, nem meglepő, hogy a kiberbűnözők is átirányították figyelmüket az okostelefonokra. A következő cikk rávilágít arra, hogy a csalók hogyan veszik célba a kriptofelhasználókat mobilkészülékeiken keresztül, valamint néhány lépésre, amelyet a felhasználók megtehetnek saját védelmük érdekében.
Hamis kriptovaluta alkalmazások
Hamis kriptotőzsde alkalmazások
A legismertebb példa a hamis kriptotőzsde alkalmazásra valószínűleg a Poloniex. A hivatalos mobilkereskedési alkalmazásuk 2018. júliusi elindítása előtt a Google Playen számos hamis Poloniex tőzsdei alkalmazás került listázásra, amelyeket szándékosan úgy terveztek, hogy működőképesek legyenek. Sok felhasználónak, aki letöltötte ezeket a csalárd alkalmazásokat, a Poloniex bejelentkezési adatai veszélybe kerültek, és kriptovalutáikat ellopták. Néhány alkalmazás nem állt meg itt, és a felhasználók Gmail fiókjának bejelentkezési adatait is elkérte. Fontos kiemelni, hogy csak a kétfaktoros hitelesítés (2FA) nélküli fiókok kerültek veszélybe.
A következő lépések segíthetnek megvédeni Önt az ilyen átverésekkel szemben.
Ellenőrizze a tőzsde hivatalos weboldalán, hogy valóban kínálnak-e mobilkereskedési alkalmazást. Ha igen, használja a weboldalukon található hivatkozást.
Olvassa el a véleményeket és értékeléseket. A csalárd alkalmazások gyakran sok rossz értékelést kapnak, amelyekben az emberek arra panaszkodnak, hogy átverték őket, ezért mindenképpen ellenőrizze őket letöltés előtt. Ugyanakkor szkeptikusnak kell lennie azokkal az alkalmazásokkal szemben is, amelyek tökéletes értékelésekkel és véleményekkel rendelkeznek. Még a törvényes alkalmazásoknak is megvannak a maguk negatív értékelései.
Ellenőrizze az alkalmazás fejlesztői adatait. Nézze meg, hogy törvényes céget, e-mail címet és weboldalt adtak-e meg. Online is rákereshet a megadott információkra, hogy lássa, valóban a hivatalos tőzsdéhez kapcsolódnak-e.
Ellenőrizze a letöltések számát. A letöltések számát is figyelembe kell venni. Nem valószínű, hogy egy népszerű kriptotőzsde csak kis számú letöltéssel rendelkezik.
Aktiválja a 2FA-t a fiókjain. Bár ez sem 100%-ig biztonságos, a 2FA-t sokkal nehezebb megkerülni, és nagyban hozzájárulhat a pénzeszközök védelméhez, még akkor is, ha a bejelentkezési adatokat megszerzik az adathalászok.
Hamis kriptotárca alkalmazások
Sokféle hamis alkalmazás létezik. Az egyik változat arra törekszik, hogy személyes adatokat szerezzen a felhasználóktól, például a tárcájuk jelszavát és privátkulcsaikat.
Bizonyos esetekben a hamis alkalmazások korábban generált publikus címeket adnak meg a felhasználóknak. Ők tehát azt feltételezik, hogy a pénzeszközöket ezekre a címekre kell befizetni. Azonban nem férnek hozzá a privátkulcsokhoz, így nem férnek hozzá a nekik küldött pénzeszközökhöz sem.
Ilyen hamis tárcákat hoztak létre olyan népszerű kriptovalutákhoz, mint az Ethereum és a Neo, és sajnos sok felhasználó elvesztette a pénzét. Íme néhány megelőző lépés, amellyel elkerülheti, hogy áldozattá váljon:
A fenti tőzsdealkalmazás szegmensben kiemelt óvintézkedések ugyanúgy alkalmazandók. A tárcaalkalmazásokkal kapcsolatban azonban további óvintézkedést tehet azáltal, hogy az alkalmazás első megnyitásakor vadonatúj címeket generál, és meggyőződik arról, hogy a privátkulcsok (vagy mnemonic seedek) az Ön birtokában vannak. Egy törvényes tárcaalkalmazás lehetővé teszi a privátkulcsok exportálását, de az is fontos, hogy az új kulcspárok generálása ne legyen veszélyeztetve. Ezért jó hírű (lehetőleg nyílt forráskódú) szoftvert kell használnia.
Még ha az alkalmazás meg is ad egy privátkulcsot (vagy seedet), akkor is ellenőriznie kell, hogy a publikus címek kinyerhetőek-e belőle. Egyes Bitcoin tárcák például lehetővé teszik a felhasználók számára, hogy importálják privátkulcsaikat vagy seedjeiket a címek megjelenítéséhez és a pénzeszközökhöz való hozzáféréshez. A kulcsok és a seedek veszélyeztetettségének minimalizálása érdekében ezt a műveletet egy internetről teljesen leválasztott (air-gapped) számítógépen is elvégezheti.
Cryptojacking alkalmazások
A cryptojacking a kiberbűnözők nagy kedvence, mivel alacsonyak a belépési korlátok és a szükséges költségek. Ezenkívül hosszú távú, rendszeres jövedelemszerzési lehetőséget kínál számukra. Annak ellenére, hogy a számítógépekhez képest kisebb a feldolgozási teljesítményük, a mobileszközök egyre inkább a cryptojacking célpontjává válnak.
A webböngészős cryptojackingen kívül a kiberbűnözők olyan programokat is fejlesztenek, amelyek legitim játék-, segéd- vagy oktatási alkalmazásoknak tűnnek. Sok ilyen alkalmazást azonban úgy terveztek, hogy titokban kriptobányászati szkripteket futtasson a háttérben.
Vannak olyan cryptojacking alkalmazások is, amelyeket törvényes külső bányászként hirdetnek, de a jutalmakat a felhasználók helyett az alkalmazás fejlesztője kapja.
A helyzetet tovább rontja, hogy a kiberbűnözők egyre kifinomultabbá válnak, és a leleplezés elkerülése érdekében könnyű bányászati algoritmusokat alkalmaznak.
A cryptojacking hihetetlenül káros a mobileszközökre, mivel rontja a teljesítményt és felgyorsítja az elhasználódást. Sőt, ami még rosszabb, potenciálisan trójai falóként szolgálhatnak még kártékonyabb programok számára.
Az alábbi lépésekkel védekezhetünk ellenük.
Csak hivatalos áruházakból, például a Google Playből töltsön le alkalmazásokat. Az illegálisan letöltött alkalmazások nincsenek előzetesen átvizsgálva, és nagyobb valószínűséggel tartalmaznak cryptojacking szkripteket.
Figyelje a telefonját, ha az akkumulátor túl hamar lemerül vagy nagyon túlmelegszik. Ha megtalálta, szabaduljon meg a problémát okozó alkalmazásoktól.
Mindig frissítse készülékét és alkalmazásait, hogy a biztonsági rések javításra kerüljenek.
Használjon olyan webböngészőt, amely védelmet nyújt a cryptojacking ellen, vagy telepítsen olyan megbízható böngészőbővítményeket, mint a MinerBlock, NoCoin és Adblock.
Ha lehetséges, telepítsen mobil vírusirtó szoftvert, és tartsa azt naprakészen.
Ajándékozások és hamis kriptobányász alkalmazások
Ezek olyan alkalmazások, amelyek úgy tesznek, mintha kriptovalutákat bányásznának a felhasználók számára, de valójában semmit sem tesznek a hirdetések megjelenítésén kívül. Azzal ösztönzik a felhasználókat az alkalmazások nyitva tartására, hogy idővel a felhasználó jutalmának növekedését mutatják. Egyes alkalmazások arra kérik a felhasználókat, hogy jutalomért cserébe 5 csillagos értékelést adjanak. Természetesen ezen alkalmazások közül egyik sem bányászott, és a felhasználók soha nem kaptak semmilyen jutalmat.
Hogy ne dőljön be az ilyen átveréseknek, tudnia kell, hogy a kriptovaluták többségénél a bányászathoz nagyon speciális hardverre (ASIC) van szükség, ami azt jelenti, hogy mobileszközön nem lehetséges a bányászat. Bármilyen mennyiséget is bányászna, a legjobb esetben is jelentéktelen lenne. Maradjon távol az ilyen alkalmazásoktól.
Clipper alkalmazások
Az ilyen alkalmazások megváltoztatják a kimásolt kriptovaluta címeket, és kicserélik azokat a támadóéra. Így bár az áldozat a helyes címzett címét másolja be, a tranzakció feldolgozásához beillesztett cím helyébe a támadóé lép.
Hogy ne váljon ilyen alkalmazások áldozatává, itt van néhány óvintézkedés, amelyet a tranzakciók feldolgozása során megtehet.
Mindig kétszer-háromszor ellenőrizze a címzett mezőbe beillesztett címet. A blokklánc tranzakciók visszafordíthatatlanok, ezért mindig óvatosnak kell lennie.
A legjobb, ha a teljes címet ellenőrzi, nem pedig csak egyes részeit. Egyes alkalmazások elég ügyesek ahhoz, hogy olyan címeket illesszenek be, amelyek hasonlítanak a használni kívánt címhez.
SIM csere
A SIM cserés átverés során a kiberbűnöző hozzáférést nyer a felhasználó telefonszámához. Ezt úgy érik el, hogy manipulációs technikák segítségével ráveszik a mobiltelefon szolgáltatókat, hogy új SIM kártyát adjanak ki számukra. A legismertebb SIM cserés csalás Michael Terpin kriptovaluta vállalkozó nevéhez fűződik. Azt állította, hogy az AT&T hanyagul kezelte a mobiltelefonja hitelesítő adatait, aminek következtében több mint 20 millió dollár értékben veszített el tokeneket.
Ha a kiberbűnözők hozzáférést nyernek az Ön telefonszámához, képesek lesznek megkerülni vele minden olyan 2FA-t, amely erre épül. Onnan bejuthatnak a kriptotárcákba és a tőzsdékre.
Egy másik módszer, amelyet a kiberbűnözők alkalmazhatnak, az SMS-kommunikáció figyelése. A kommunikációs hálózatok hiányosságai lehetővé teszik a bűnözők számára, hogy lehallgassák az Ön üzeneteit, amelyekből megszerezhetik az Önnek küldött kétfaktoros PIN kódot is.
Ami különösen aggasztóvá teszi ezt a támadást, hogy a felhasználóknak nem kell semmilyen műveletet végrehajtaniuk, például letölteniük egy hamis szoftvert vagy rákattintaniuk egy rosszindulatú linkre.
Annak érdekében, hogy ne essen áldozatul az ilyen csalásoknak, itt van néhány megfontolandó lépés.
Ne használja a mobiltelefonszámát kétfaktoros SMS azonosításhoz. Ehelyett használjon olyan alkalmazásokat, mint a Google Authenticator vagy az Authy a fiókjai védelmére. A kiberbűnözők még az Ön telefonszámának birtokában sem tudnak hozzáférni ezekhez az alkalmazásokhoz. Illetve használhat hardveres 2FA-t is, például a YubiKey vagy a Google Titan Security Key programot.
Ne tegyen közzé személyes azonosító adatokat a közösségi médiában, például a mobiltelefonszámát. A kiberbűnözők összegyűjthetik ezeket az információkat, és felhasználhatják arra, hogy kiadják magukat Önnek.
Soha ne tegye közzé a közösségi médiában, hogy kriptovalutát birtokol, mert ezzel célponttá válhat. Vagy ha már mindenki tudja, hogy Ön kriptót birtokol, akkor kerülje a személyes adatok közlését, beleértve az Ön által használt tőzsdéket vagy tárcákat.
Egyeztessen mobiltelefon szolgáltatójával a fiókja védelme érdekében. Ez jelentheti egy PIN kód vagy jelszó hozzárendelését a fiókhoz, és azt, hogy csak a PIN kódot ismerő felhasználók módosíthatják a fiókot. Valamint kérheti, hogy az ilyen módosításokat személyesen végezzék el, telefonon pedig letilthatja azokat.
WiFi
A kiberbűnözők folyamatosan keresik a behatolási pontokat a mobileszközökre, különösen a kriptovaluta felhasználókéra. Az egyik ilyen behatolási pont a WiFi hozzáférés. A nyilvános WiFi nem biztonságos, ezért a felhasználóknak elővigyázatosnak kell lenniük, mielőtt csatlakoznak hozzájuk. Ellenkező esetben kockáztatják, hogy a kiberbűnözők hozzáférjenek a mobileszközeiken lévő adatokhoz. Ezekkel az óvintézkedésekkel a nyilvános wifiről szóló cikkben foglalkozunk.
Záró gondolatok
A mobiltelefonok életünk elengedhetetlen részévé váltak. Sőt, annyira összefonódtak digitális identitásunkkal, hogy a legnagyobb sebezhetőségünket jelenthetik. A kiberbűnözők tisztában vannak ezzel, és folyamatosan keresik annak módját, hogy ezt kihasználják. A mobileszközök védelme többé nem opcionális. Szükségszerűvé vált. Csak óvatosan.